万豪数据泄漏门再敲警钟，酒店集团7步安全建议

发表评论
862 views

A+

所属分类：未分类

前言

11月30日，万豪酒店官方发布消息称，多达5亿人次预订喜达屋酒店客人的详细个人信息可能遭到泄露。万豪国际在调查过程中了解到，自2014年起即存在第三方对喜达屋网络未经授权的访问，但公司直到2018年9月才第一次收到警报。

万豪国际还表示，泄露的5亿人次的信息中，约有3.27亿人的信息包括如下信息的组合：姓名、邮寄地址、电话号码、电子邮件地址、护照号码、SPG俱乐部账户信息、出生日期、性别、到达与离开信息、预订日期和通信偏好；更为严重的是，对于某些客人而言，信息还包括支付卡号和支付卡有效期，虽然已经加密，但无法排除该第三方已经掌握密钥。

酒店行业数据泄漏频繁发生

酒店集团的数据泄漏问题已经不是第一次。近些年洲际、希尔顿、凯悦、文华东方等酒店集团等不止一次遭遇过这类安全事件。上一次华住集团的数据泄露事件我们还记忆犹新。以下是最近几年发生在酒店行业的部分数据泄漏事件：

2018.10：丽笙（Radisson）酒店，具体泄露数据量未公布。

2018.8：华住酒店集团，泄露数据量：5亿条，并在暗网售卖。

2017.10：凯悦酒店集团，泄露数据涉及全球的41家凯悦酒店。

2017.4：洲际酒店集团，泄露数据涉及超过1000家酒店。

2014和2015：希尔顿酒店集团，泄露数据涉及超过36万条支付卡数据。

酒店集团数据泄露事件三大主因

从这几起典型的酒店数据泄露事件的原因来看，主要有以下几种：

1. 未经授权的第三方组织窃取数据

虽然万豪并未明确指出数据泄露的原因，但从官方声明中提到的”an unauthorized party”，可以猜测本次数据泄露与第三方支持人员有很大关系。酒店管理系统比较复杂，通常涉及大量第三方参与系统开发与运维支持。因此很容易出现第三方支持人员或者内部人员利用系统漏洞取得数据库访问权限。而2017年凯悦酒店集团的数据泄露事件也是一些酒店IT系统被注入第三方恶意软件代码，通过酒店管理系统的漏洞获取数据库的访问权限，从而提取酒店客户的支付卡信息并解密。

2. 特权账号被公开至Github导致泄露

这类原因以华住集团的泄漏事件为典型代表，开发人员将包含有数据库账号和密码的代码传至了Github上，被黑客扫描到以后进行了拖库。这一类原因已经成为全行业数据泄露的主要原因之一，Uber在2107年因此泄露了5700万用户信息。

3. POS机被恶意软件感染

这一原因的典型事件是希尔顿和洲际酒店集团。据公开的消息，这两起数据泄露事件都是由于POS机被植入了恶意程序，导致支付卡信息被窃取。

事件暴露的数据安全隐患

数据安全问题是一个很大的话题，无法用一篇文章讲完。我们仅综合近些年的数据泄露事件和企业在数据安全领域最常见的几个误区，总结出以下几个最明显的问题：

内部安全意识不强，开发人员的安全红线要求缺失；

管理者对业务系统存在的漏洞和安全风险心存侥幸，不发生安全事件就假装视而不见；

对敏感数据资产梳理不清，哪些人、哪些系统有访问权限情况不明，数据安全管控无从下手；

敏感数据字段未进行加密，一旦泄露就是明文数据；或使用了数据库自身的密钥管理机制做加密，但数据库本身无法保证安全，密钥也可以被黑客所窃取；

对数据异常访问行为缺乏检测和审计手段，导致泄露发生多年后才被发现（更大的可能性是大多数企业从来没有发现过）。